PORTARIA SUFRAMA Nº 2.631, DE 14 DE JULHO DE 2026

PORTARIA SUFRAMA Nº 2.631, DE 14 DE JULHO DE 2026 Institui o Procedimento Institucional de Gestão e Comunicação de Incidentes de Segurança envolvendo dados pessoais à Autoridade Nacional de Proteção de Dados - ANPD, no âmbito da Superintendência da Zona Franca de Manaus - SUFRAMA. O SUPERINTENDENTE DA SUPERINTENDÊNCIA DA ZONA FRANCA DE MANAUS - SUFRAMA, no uso da atribuição que lhe confere o inciso I do art. 15 do Anexo I do Decreto nº 11.217, de 30 de setembro de 2022, e tendo em vista o disposto na Lei nº 13.709, de 14 de agosto de 2018, e na Resolução CD/ANPD nº 15, de 24 de abril de 2024, resolve: Art. 1º Aprovar o Procedimento Institucional de Gestão e Comunicação de Incidentes de Segurança envolvendo dados pessoais à Autoridade Nacional de Proteção de Dados - ANPD no âmbito da Superintendência da Zona Franca de Manaus - SUFRAMA, na forma do Anexo I desta Portaria. Art. 2º Esta Portaria entra em vigor na data da sua publicação. LEOPOLDO AUGUSTO MELO MONTENEGRO JÚNIOR ANEXO I PROCEDIMENTO INSTITUCIONAL DE GESTÃO E COMUNICAÇÃO DE INCIDENTES DE SEGURANÇA ENVOLVENDO DADOS PESSOAIS À AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS - ANPD CAPÍTULO I DAS DISPOSIÇÕES PRELIMINARES Seção I Do Objeto Art. 1º Este Procedimento institui o fluxo institucional para identificação, registro, análise, tratamento e comunicação de incidentes de segurança envolvendo dados pessoais, no âmbito da Superintendência da Zona Franca de Manaus - SUFRAMA. Seção II Dos Objetivos Art. 2º O procedimento estabelecido neste Anexo tem por objetivos I - estabelecer fluxo institucional padronizado para gestão de incidentes de segurança envolvendo dados pessoais; II - definir responsabilidades das unidades organizacionais envolvidas; III - assegurar a comunicação tempestiva à Autoridade Nacional de Proteção de Dados - ANPD; IV - mitigar riscos aos direitos e liberdades fundamentais dos titulares de dados pessoais; e V - fortalecer a governança institucional em proteção de dados pessoais. CAPÍTULO II DAS Definições Art. 3º Para fins desta Portaria, adotam-se as seguintes definições: I - Incidente de Segurança envolvendo Dados Pessoais: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais; II - Encarregado pelo Tratamento de Dados Pessoais: pessoa indicada pela SUFRAMA para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD, responsável por orientar os funcionários e os contratados e apoiar a conformidade institucional quanto às práticas de proteção de dados pessoais, nos termos do art. 41 da Lei nº 13.709, de 2018; III - Controlador: Pessoa jurídica de direito público ou privado, ou pessoa natural, a quem competem as decisões referentes ao tratamento de dados pessoais; IV - Risco ou Dano Relevante: possibilidade de prejuízo significativo ao titular dos dados, envolvendo danos morais, materiais, patrimoniais, discriminação, violação de direitos fundamentais, exposição de dados sensíveis ou financeiros, ou qualquer outra situação que possa gerar consequências negativas para o titular; V - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR: unidade responsável pela detecção e análise técnica especializada de incidentes de segurança da informação no âmbito da SUFRAMA, nos termos da Portaria SUFRAMA nº 733, de 21 de março de 2023; VI - Integridade: propriedade pela qual se assegura que o dado pessoal não foi modificado ou destruído de maneira não autorizada ou acidental; VII - Confidencialidade: propriedade pela qual se assegura que o dado pessoal não esteja disponível ou não seja revelado a pessoas, empresas, sistemas, órgãos ou entidades não autorizados; VIII - Disponibilidade: propriedade pela qual se assegura que o dado pessoal esteja acessível e utilizável, sob demanda, por uma pessoa natural ou determinado sistema, órgão ou entidade devidamente autorizados; IX - Comunicação de incidente de segurança: ato do controlador que comunica à ANPD e ao titular de dados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares; X - Autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, equipamento, sistema, órgão ou entidade; XI - Área responsável: unidades organizacionais da SUFRAMA; XII - Titulares em situação de vulnerabilidade: pessoas naturais que, em razão de idade, condição socioeconômica ou outras circunstâncias, demandem maior proteção, incluindo crianças, adolescentes e idosos; e XIII - Relatório de tratamento de incidente: documento fornecido pelo controlador que contém cópias, em meio físico ou digital, de dados e informações relevantes para descrever o incidente e as providências adotadas para reverter ou mitigar os seus efeitos. XIV - ANPD: Autoridade Nacional de Proteção de Dados. CAPÍTULO III DA governança institucional Seção I Do Controlador Art. 4º Compete ao Superintendente da SUFRAMA, na qualidade de autoridade máxima do controlador: I - deliberar sobre a necessidade de comunicação do incidente à ANPD e aos titulares afetados; II - determinar a adoção de medidas administrativas e técnicas para mitigação dos efeitos do incidente; e III - assegurar os recursos institucionais necessários à resposta a incidentes. Seção II Do Encarregado pelo Tratamento de Dados Art. 5º Compete ao Encarregado pelo Tratamento de Dados Pessoais: I - coordenar o processo institucional de comunicação de incidentes à ANPD; II - atuar como ponto de contato institucional junto à ANPD; III - orientar as unidades administrativas quanto às obrigações decorrentes da legislação de proteção de dados; e IV - consolidar as informações necessárias à comunicação institucional de incidentes. Seção III Da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos Art. 6º A Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR, regulamentada pela Portaria SUFRAMA nº 733, de 21 de março de 2023, atua em dois momentos distintos no fluxo institucional de gestão de incidentes: I - na detecção e identificação de incidentes de segurança da informação com potencial envolvimento de dados pessoais, reportando imediatamente ao Gestor de Segurança da Informação e à Autoridade Máxima da área de TIC, nos termos do art. 1º, §3º, II, da Portaria SUFRAMA nº 733, de 2023; e II - na análise técnica especializada de incidentes cibernéticos, quando acionada pela Coordenação-Geral de Tecnologia da Informação e Comunicação - CGTIC, para subsidiar a avaliação de impacto sobre dados pessoais pelo Encarregado pelo Tratamento de Dados Pessoais. CAPÍTULO IV DA IDENTIFICAÇÃO E REGISTRO DE INCIDENTES Art. 7º As áreas responsáveis da SUFRAMA deverão monitorar continuamente sinais de possível incidente de segurança com dados pessoais. Art. 8º Identificado um incidente ou suspeita, a área responsável deverá: I - acionar imediatamente o Encarregado pelo Tratamento de Dados Pessoais; II - iniciar medidas de contenção e isolamento para evitar a propagação do incidente; III - preservar evidências digitais e físicas relacionadas ao incidente para fins de investigação e auditoria; e IV - registrar detalhadamente todas as ações executadas, horários e responsáveis. Art 9º Na hipótese de o incidente de segurança envolver violação das propriedades de segurança de sistemas de informação e dados, o Encarregado pelo Tratamento de Dados Pessoais comunicará o fato à Coordenação-Geral de Tecnologia da Informação e Comunicação - CGTIC, para que a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR realize análise técnica da ocorrência no âmbito de suas competências. Parágrafo único: Os resultados da análise técnica serão reportados pela ETIR ao Gestor de Segurança da Informação e à Autoridade Máxima da área de TIC, nos termos da Portaria SUFRAMA nº 733, de 2023, e encaminhados ao Encarregado pelo Tratamento de Dados Pessoais para subsidiar a avaliação de impacto sobre os titulares. CAPÍTULO V Da avaliação de riscos Art. 10. A avaliação do incidente deverá considerar, de forma prioritária, os seguintes aspectos para determinar o nível de riscos aos titulares: I - impacto potencial aos titulares dos dados, incluindo a probabilidade e a gravidade do dano; II - natureza e sensibilidade dos dados envolvidos; III - exposição de danos financeiros; IV - exposição de dados de titulares em situação de vulnerabilidade, incluindo crianças, adolescentes e idosos; e V - possibilidade de danos morais, materiais ou reputacionais aos titulares. Parágrafo único. Todos os fatos relacionados ao incidente deverão ser registrados em sistema próprio da instituição, incluindo data, hora, unidade responsável, descrição dos eventos, medidas adotadas, resultados da avaliação de risco e decisões tomadas, independentemente da obrigatoriedade de comunicação à ANPD. Devendo ser mantidos pelo prazo mínimo definido na política de gestão documental e disponibilizados para fins de auditoria, controle e eventual requisição por órgãos de controle. CAPÍTULO VI da comunicação de incidentes Seção I Comunicação à ANPD Art. 11. A comunicação formal de incidente de segurança à Autoridade Nacional de Proteção de Dados - ANPD será realizada exclusivamente pelo Encarregado pelo Tratamento de Dados Pessoais ou, na sua ausência, pelo representante legal do controlador, devidamente designado para tal finalidade. §1º A comunicação deverá ser feita obrigatoriamente por meio de peticionamento eletrônico no sistema eletrônico disponibilizado pela ANPD para esse fim, seguindo as orientações e formulários divulgados pela Autoridade Nacional de Proteção de Dados. §2º A comunicação observará os prazos e procedimentos estabelecidos na regulamentação da ANPD, especialmente os previstos na Resolução CD/ANPD nº 15, de 24 de abril de 2024. Seção II Da obrigatoriedade da Comunicação ANPD Art. 12. A comunicação do incidente de segurança à ANPD será obrigatória quando houver risco ou dano relevante aos titulares, caracterizado, mas não limitado, pelos seguintes critérios: I - afetação de dados sensíveis, conforme definição da Lei nº 13.709, de 2018; II - exposição de dados financeiros que possam gerar perdas econômicas aos titulares; III - envolvimento de dados de titulares em situação de vulnerabilidade, incluindo crianças, adolescentes e idosos; IV - grande volume de titulares atingidos, indicando impacto em larga escala; e V - riscos significativos aos direitos e liberdades fundamentais dos titulares. Seção III Conteúdo da Comunicação Art. 13. A comunicação deverá conter, no mínimo: I - descrição detalhada da natureza do incidente, incluindo a data e hora aproximadas de sua ocorrência e detecção, bem como a data da ciência do incidente pelo controlador; II - categorias de dados pessoais afetados e volume estimado de titulares atingidos; III - indicação de titulares em situação de vulnerabilidade potencialmente afetados, quando cabível; IV - causa conhecida ou provável do incidente; V - medidas de segurança técnicas e administrativas existentes antes do incidente, que visavam proteger os dados pessoais; VI - ações emergenciais e medidas de contenção adotadas imediatamente após a identificação do incidente; VII - avaliação preliminar dos riscos decorrentes do incidente para os direitos e liberdades dos titulares; VIII - medidas de mitigação planejadas ou implementadas para reverter ou atenuar os efeitos do incidente; IX - informações de contato do Encarregado pelo Tratamento de Dados Pessoais; e X - quando a comunicação não ocorrer imediatamente após a ciência do incidente, motivação para o atraso. Seção IV Dos Formulários de Comunicação à ANPD Art. 14. A comunicação deverá utilizar o formulário correspondente disponibilizado pela ANPD no sistema eletrônico por ela mantido para esse fim, que poderá ser a Comunicação Preliminar (para informações iniciais) ou a Comunicação Completa (para informações detalhadas e consolidadas), conforme a fase de apuração do incidente. Parágrafo único. Quando não for possível reunir todas as informações exigidas no prazo previsto, deverá ser enviada comunicação parcial à ANPD, contendo os dados disponíveis. As informações complementares deverão ser apresentadas assim que estiverem disponíveis, em comunicação suplementar. Seção V Comunicação aos Titulares Art. 15. Quando o incidente puder acarretar risco ou dano relevante aos titulares, a SUFRAMA deverá promover a comunicação aos titulares afetados, nos termos do art. 48 da Lei nº 13.709/2018 e regulamentação da ANPD. Parágrafo único. A comunicação deverá indicar, no mínimo, a natureza do incidente, os dados pessoais envolvidos, as medidas de contenção e mitigação adotadas, e as medidas preventivas recomendadas aos titulares. CAPÍTULO VII Do fluxo institucional de gestão de incidentes Art. 16. Sempre que houver identificação, suspeita ou indício de incidente com dados pessoais, a área responsável deverá realizar comunicação imediata ao Encarregado pelo Tratamento de Dados Pessoais, por meio do Modelo de Registro constante do Anexo III desta Portaria. §1º O Encarregado pelo Tratamento de Dados Pessoais realizará avaliação de impacto do evento sobre os dados pessoais envolvidos, identificando as categorias de dados afetados, o universo de titulares e o nível de risco aos seus direitos e liberdades, com base nas evidências coletadas pela área responsável e, quando aplicável, nos resultados da análise técnica da ETIR. §2º As informações produzidas constituirão subsídio essencial ao Superintendente da SUFRAMA, para fins de adoção de decisão fundamentada sobre o caso concreto, incluindo a necessidade de comunicação à ANPD e aos titulares afetados. §3º Esta comunicação imediata constitui etapa obrigatória do fluxo institucional de gestão de incidentes e sua omissão caracteriza descumprimento procedimental. §4º Concluídas as medidas de resposta, o Encarregado pelo Tratamento de Dados Pessoais elaborará o Relatório de Tratamento de Incidente, conforme modelo constante do Anexo IV desta Portaria. CAPÍTULO VIII DA CAPACITAÇÃO E MELHORIA CONTÍNUA Art. 17. Todas as áreas responsáveis deverão receber capacitação periódica em: I - proteção de dados pessoais; e II - segurança da informação. Art. 18. Os procedimentos estabelecidos nesta Portaria deverão ser revisados periodicamente, no mínimo uma vez ao ano. CAPÍTULO IX DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS Art. 19. Os casos omissos serão decididos pelo Controlador, ouvido o Encarregado pelo Tratamento de Dados Pessoais, buscando sempre a melhor proteção aos dados pessoais e a conformidade com a legislação vigente. Art. 20. Esta Portaria possui caráter organizacional e procedimental, não implicando inovação na ordem jurídica, limitando-se à regulamentação interna das disposições legais vigentes. Art. 21. Este Procedimento entra em vigor na data de publicação da Portaria que o institui. ANEXO IIFLUXOGRAMA INSTITUCIONAL DE RESPOSTA A INCIDENTES (imagem)